Veille menaces / Campagne
De faux outils de sécurité sur GitHub infectent plus de 2 000 PC de ceux qui les compilent
Dr.Web décrit des dépôts GitHub qui se font passer pour des outils de scan, de tests de sécurité et d'analyse de journaux. Du code caché s'exécute à la compilation ou à l'ouverture du projet, puis installe une porte dérobée, un logiciel qui remplace les adresses crypto copiées et un voleur d'informations. Dr.Web compte plus de 2 000 PC infectés ; les premiers dépôts de ce type sont apparus il y a environ deux ans.
- Secteur
- Tech et SaaS
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- GitHub
- Comment c'est arrivé
- Selon Dr.Web, le code se cache dans les fichiers du projet : un événement pré-compilation dans les fichiers .csproj de Visual Studio le lance avant la compilation, des fichiers .suo contiennent une commande PowerShell, et des fichiers Python et Go le dissimulent derrière de longues suites d'espaces. PowerShell télécharge ensuite un chargeur Electron nommé « Microsoft.exe », qui récupère la suite. Les premiers dépôts imitaient des jeux blockchain, des bots et des triches ; les plus récents imitent des outils de sécurité, comme un analyseur de résultats Fscan.[1][2] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Selon Dr.Web, un voleur d'informations récupère les données des navigateurs, les réglages FTP de FileZilla, MobaXterm et Total Commander, les réglages VPN, des fichiers de messageries, des comptes de jeux et des jetons Discord, envoyés via un bot Telegram. Un « clipper » remplace les adresses de portefeuilles crypto copiées, et deux portes dérobées AsyncRAT donnent le contrôle à distance. Le logiciel désactive Windows Defender et tente de supprimer ESET, McAfee et Malwarebytes.[1] Vérifié le 8 nov. 2026
- Qui est touché
- Les personnes qui ont téléchargé et compilé ces projets, désormais aussi des professionnels de la sécurité. Dr.Web indique que « plus de 2 000 PC ont été infectés » au moment de son analyse. Ni pays ni organisations ne sont nommés.[1][2] Vérifié le 8 nov. 2026
- Acteur
- Non attribué
Chronologie
- Dr.Web publie son analyse : les premiers dépôts piégés sont apparus il y a environ deux ans, la campagne vise désormais les utilisateurs d'outils de sécurité, et plus de 2 000 PC sont infectés. L'éditeur publie des indicateurs de compromission et ne nomme aucun groupe. [1]
- BleepingComputer relaie la campagne. Aucune des deux sources n'indique si GitHub a supprimé les dépôts. [2]